Bonjour,
Cas très touchy. Nous souhaitons confier à un cabinet privé une mission d'audit et d'optimisation du codage de notre activité, dans le cadre pour faire simple de la T2A. Problème, il lui faudra pour ce faire accéder à des données médicales nominatives, en quantité trop importantes pour que nous puissions les anonymiser préalablement. Naturellement aux yeux du CSP et de la CNIL, aucune dérogation ni partage du secret n'est prévu au profit d'un tiers à l'établissement, l'art R 6113-5 disposant que :
Les médecins chargés de la collecte des données médicales nominatives ou du traitement des fichiers comportant de telles données sont soumis à l'obligation de secret dont la méconnaissance est punie conformément aux articles 226-13 et 226-14 du code pénal.
Il en est de même des personnels placés ou détachés auprès de ces médecins et qui travaillent à l'exploitation de données nominatives sous leur autorité, ainsi que des personnels intervenant sur le matériel et les logiciels utilisés pour le recueil et le traitement des données.
De ce point de vue pourtant, un auditeur à qui l'on donnerait un droit d'accès de type "invité" au logiciel contenant ces données, et qui serait systématiquement accompagné d'un agent de l'établissement lorsqu'il les consulte, ne pourrait il pas être considéré comme un "personnel intervenant sur le logiciel utilisé pour le recueil et le traitement des données", et à ce titre habilité -selon des règles strictes- à les consulter ?
Merci de vos retours.
Si on reprend le texte, l'auditeur en question aurait plutôt vocation à travailler à l'exploitation des données en cause qu'à intervenir sur le logiciel, cas qui semble plutôt viser les informaticiens.
Mais ça pose la question du sens à donner à l'expression "placés ou détachés auprès des médecins", qui laisse à penser qu'ils sont nécessairement intégrés à la structure.
Ça ne me choquerait pas de donner un accès à un tiers dès lors que la finalité du traitement des données est respectée : le but est bien l'analyse de l'activité médicale. Mais ça pourrait être vu comme une interprétation un peu extensive, ce qui n'est guère l'usage en la matière.
Maintenant, est-ce qu'il n'est pas envisageable de créer un profil spécifique pour cette consultation ? Car somme toute, les infos doivent être classées selon les dispositions de R. 6113-1 selon toute vraisemblance. Et j'imagine que simplement masquer les infos prévues au 1 et au 3 doit pouvoir se faire (j'ai du mal à croire qu'un traitement de données personnelles puisse être conçu sans la possibilité de distinguer les données permettant l'identification des individus des autres données).
Citation de: R.J le Février 02, 2018, 05:37:22 PM
Si on reprend le texte, l'auditeur en question aurait plutôt vocation à travailler à l'exploitation des données en cause qu'à intervenir sur le logiciel, cas qui semble plutôt viser les informaticiens.
Lecture trop hâtive de l'article en effet, bien vu.
Citation de: R.J le Février 02, 2018, 05:37:22 PM
Maintenant, est-ce qu'il n'est pas envisageable de créer un profil spécifique pour cette consultation ? Car somme toute, les infos doivent être classées selon les dispositions de R. 6113-1 selon toute vraisemblance. Et j'imagine que simplement masquer les infos prévues au 1 et au 3 doit pouvoir se faire (j'ai du mal à croire qu'un traitement de données personnelles puisse être conçu sans la possibilité de distinguer les données permettant l'identification des individus des autres données).
C'est la première piste que nous avons envisagé, mais d'une part si cela est techniquement faisable il semblerait que ce soit bien moins aisé qu'il n'y paraît, et d'autre part, aux dires là aussi des services compétents en la matière (et dont il ne m'appartient pas à ce titre de mettre en cause la position exprimée), trop chronophage. Cela restera en tout cas ma première proposition.
Citation de: R.J le Février 02, 2018, 05:37:22 PM
Mais ça pose la question du sens à donner à l'expression "placés ou détachés auprès des médecins", qui laisse à penser qu'ils sont nécessairement intégrés à la structure.
Nous y avons songé également, la loi n° 86-33 du 9 janvier 1986 portant dispositions statutaires relatives à la FPH prévoit, en son article 49-1, la possibilité pour un EPS de bénéficier de la mise à disposition de salariés de droit privé, via une convention conclue avec leur employeur d'origine. Cela présenterait pour nous l'avantage d'ajouter les ETP manquant en interne pour traiter sereinement ces données dans le cadre de cet audit, tout en fournissant au médecin responsable de l'information médicale la latitude nécessaire à l'encadrement de ces personnels.
Je n'ai toutefois jamais eu à recourir à ce type de mécanisme... Cela pourrait-il convenir ici ?
Merci :)
@Shmouck : Je n'ai jamais pratiqué et peut-être que ma proposition est irréaliste, mais si tu te rapprochais de la CNIL et que tu leur demandais les bonnes pratiques, leur appui afin de te protéger ou de garantir ta bonne foi.
Elle est tout à fait logique au contraire, simplement nous avons un référent CNIL en interne qui est supposé chapoter ces questions, et le seul retour que nous avons eu et pour ainsi dire laconique.
Nous allons lancer dans les jours qui viennent avec le mécanisme de mis à disposition que j'évoquais précédemment, on verra ce que ça donne. En tout cas la CNIL ne pourra pas reprocher de pas avoir cherché à cadre la chose !